NIS2 et CyFun pour les PME en Belgique

Vous découvrirez ici si NIS2 s’applique à vous, quelles obligations et quels délais sont en vigueur, comment fonctionne CyberFundamentals (CyFun®) et comment JViT vous accompagne. Ces informations ne constituent pas un avis juridique ; seul le Moniteur belge fait foi.

Votre entreprise est-elle soumise à NIS2 ?

Le Centre pour la Cybersécurité Belgique (CCB) propose un test de champ d’application sur Safeonweb@Work. Pour une première évaluation, répondez à ces questions dans l’ordre.

1. Travaillez-vous dans un secteur de l’annexe I ou II de la loi ? Annexe I (hautement critique) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC entre entreprises (comme les fournisseurs de services managés), administration publique (entités de l’administration publique qui dépendent de l’État fédéral, entités de l’administration publique identifiées des entités fédérées, zones de secours et Service d’incendie et d’aide médicale urgente de la Région de Bruxelles-Capitale) et espace. Annexe II (autres secteurs critiques) : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules à moteur et autres matériels de transport), fournisseurs numériques et recherche. Aucun des deux ? Passez à la question 5.
2. Êtes-vous au moins une moyenne entreprise ? C’est le cas à partir de 50 travailleurs, ou si le chiffre d’affaires annuel et le total du bilan dépassent tous deux 10 millions d’euros. Vous êtes une grande entreprise à partir de 250 travailleurs, ou avec plus de 50 millions d’euros de chiffre d’affaires et 43 millions d’euros de total du bilan. Les entreprises partenaires et liées sont prises en compte, mais le CCB peut tenir compte du degré d’indépendance de l’entité par rapport à ces entreprises (art. 3, § 2).
3. Y êtes-vous soumis quelle que soit votre taille ? C’est notamment le cas des fournisseurs de communications électroniques publiques, des prestataires de services de confiance, des fournisseurs de services DNS, des registres de noms de domaine de premier niveau, des entités qui fournissent des services d’enregistrement de noms de domaine, de certains services publics, des entités identifiées comme entités critiques au sens de la loi du 19 décembre 2025 relative à la résilience des entités critiques, et des organisations désignées par le CCB lui-même.
4. Êtes-vous une entité essentielle ou une entité importante ? Les grandes entreprises de l’annexe I sont des entités essentielles. Les moyennes entreprises de l’annexe I ainsi que les moyennes et grandes entreprises de l’annexe II sont des entités importantes. En outre, selon l’art. 9, sont toujours des entités essentielles : les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ; les fournisseurs de réseaux ou de services de communications électroniques publics qui sont au moins des moyennes entreprises ; les entités de l’administration publique qui dépendent de l’État fédéral ; les entités critiques ; et les entités que le CCB identifie comme essentielles. Les entités essentielles font l’objet d’une supervision ex ante obligatoire, les entités importantes d’une supervision ex post.
5. Vous n’y êtes pas soumis, mais vos clients oui ? Vous n’avez alors pas d’obligations légales NIS2 propres, mais bien des exigences contractuelles, des questionnaires et des audits de la part de vos clients. Le CCB conseille aux organisations susceptibles de faire partie de la chaîne d’approvisionnement d’une entité NIS2 de respecter au moins les mesures du CyberFundamentals (CyFun®) Framework level Basic.

Qu’impose concrètement NIS2 ?

Enregistrement. Les entités essentielles et importantes s’enregistrent auprès du CCB via Safeonweb@Work, dans les cinq mois suivant l’entrée en vigueur de la loi ou l’identification (art. 13, § 1). Après l’entrée en vigueur, ce délai a expiré le 18 mars 2025, et dès le 18 décembre 2024 pour les fournisseurs de services numériques. Vous signalez les modifications dans les deux semaines.

Mesures de gestion des risques. Vous prenez des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées. La loi cite au minimum, entre autres, l’analyse des risques et les politiques de sécurité, la gestion des incidents, la sauvegarde et la continuité des activités, la sécurité de la chaîne d’approvisionnement, la cyberhygiène et la formation, le chiffrement, la gestion des accès et l’authentification multifacteur.

Notification d’incidents. Vous notifiez un incident significatif au CCB via notif.safeonweb.be :

• alerte précoce dans les 24 heures après avoir pris connaissance de l’incident ;
• notification d’incident dans les 72 heures (24 heures pour les prestataires de services de confiance) ;
• rapport final au plus tard un mois après la notification d’incident, ou un rapport d’avancement si l’incident est alors toujours en cours.

Le CCB peut aussi demander un rapport intermédiaire. Vous ne respecterez ces délais qu’avec une procédure de notification exercée à l’avance.

Responsabilité de l’organe de direction. L’organe de direction approuve les mesures et supervise leur mise en œuvre. Les membres des organes de direction des entités essentielles et importantes suivent une formation (art. 31, § 2), afin de pouvoir évaluer les risques. Les administrateurs peuvent être tenus responsables et, en cas de manquements persistants, une interdiction temporaire d’exercer des fonctions de direction est possible.

Sanctions.

En cas de récidive dans les trois ans, l’amende peut être doublée.

CyFun : Basic, Important et Essential

CyberFundamentals (CyFun®) est le cadre du CCB pour mettre en pratique les mesures NIS2, aligné notamment sur le NIST Cybersecurity Framework 2.0. Une conformité CyFun confirmée au bon niveau donne une présomption de conformité aux mesures NIS2. Outre le niveau d’entrée Small, destiné à une première autoévaluation, CyFun compte trois niveaux :

Quel niveau vous convient ? C’est l’outil d’évaluation des risques du CCB (CyFun Selection Tool) qui le détermine. Pour les entités essentielles, le niveau final est Important ou Essential.

CyFun 2023 ou 2025 ? Le CCB a publié une nouvelle version en 2025, avec davantage d’attention pour la chaîne d’approvisionnement, les technologies opérationnelles (OT) et l’auditabilité. CyFun® 2023 et CyFun® 2025 sont tous deux disponibles pendant une période de transition ; ensuite, seul CyFun® 2025 est accepté. Si vous commencez maintenant, mieux vaut choisir directement CyFun 2025.

ISO/IEC 27001 et l’évaluation. Les entités essentielles peuvent aussi utiliser l’ISO/IEC 27001 si le périmètre couvre les systèmes pertinents pour NIS2. L’évaluation est réalisée par un organisme d’évaluation de la conformité (CAB), accrédité par BELAC et agréé par le CCB. Elle est obligatoire pour les entités essentielles (ou elles optent pour une inspection du CCB) et volontaire pour les entités importantes. JViT n’est pas un CAB : nous vous préparons et vous accompagnons.

Calendrier

Aujourd’hui , les entités essentielles travaillent en vue du 18 avril 2027. Pour l’instant, la proposition européenne ne change rien à la loi belge.

Comment JViT vous accompagne

JViT est un partenaire « security-first » en IT managé et en cybersécurité basé à Zonhoven, accompagné par notre CISO. Nous ne nous contentons pas de rédiger des politiques : nous mettons aussi les mesures en œuvre, avec une seule équipe et un seul interlocuteur.

1. État des lieux et analyse des écarts. Grâce à un audit NIS2 , nous déterminons si et comment la loi s’applique à vous et quel niveau CyFun convient. Vous recevez une feuille de route priorisée avec l’effort par étape.
2. Trajet CyFun ou ISO 27001. Nous élaborons les politiques, les procédures et les éléments de preuve, et réalisons l’autoévaluation avec vous.
3. CISO as a Service. Avec le CISO comme service , vous disposez d’un CISO expérimenté sans recrutement à temps plein, pour la gestion des risques et de la conformité, la politique de sécurité, la réponse aux incidents et la sensibilisation, avec des rapports permettant à votre direction d’approuver et de suivre les mesures.
4. Mesures techniques. Hacking éthique avec nouveau test, détection des vulnérabilités, accès zero trust, détection et réponse via SOC et SIEM, procédures de reprise et exercices, la Plateforme de sensibilisation à l'hameçonnage gérée par JViT et des formations pratiques pour vos collaborateurs.
5. Préparation à l’évaluation de la conformité. Nous constituons votre dossier d’audit, vérifions les éléments de preuve à l’avance, vous accompagnons pendant l’évaluation et assurons le suivi des constats.

Portefeuille PME. Depuis le 1er février 2026, le conseil en cybersécurité est éligible au portefeuille PME (kmo-portefeuille) (45 % petites, 35 % moyennes entreprises). Voir portefeuille PME.

Sources

• Centre pour la Cybersécurité Belgique, La loi NIS2 sur Safeonweb@Work
• Centre pour la Cybersécurité Belgique, Guide de démarrage rapide NIS2
• Centre pour la Cybersécurité Belgique, CyberFundamentals Framework
• Centre pour la Cybersécurité Belgique, Organismes d’évaluation de la conformité (CAB)
• Centre pour la Cybersécurité Belgique, NIS2: 18 April 2026 deadline, what essential entities must have in place
• Centre pour la Cybersécurité Belgique, CyFun® 2025 is here!
• Centre pour la Cybersécurité Belgique, NIS2 Notification Guide, version 1.3 (août 2025)
• Moniteur belge, Loi du 26 avril 2024 (loi NIS2) et Arrêté royal du 9 juin 2024
• Commission européenne, Cybersecurity Package: Questions & Answers
• VLAIO, Hervorming kmo-portefeuille: vanaf 1 februari 2026 enkel nog advies voor cybersecurity

Savez-vous où vous en êtes ?

Lors d’un premier entretien, nous examinons si NIS2 s’applique à vous, quel niveau CyFun convient et quelles étapes franchir en premier. Vous n’avez pas encore besoin de connaître une solution technique.

Planifier un premier échange ou écrivez à sales@jvit.be.

Vous souhaitez d’abord une vue plus large de votre informatique, des cyberrisques à la sauvegarde et à l’IA sécurisée ? Demandez alors un Executive IT Scan , un entretien de 90 minutes.

JViT, Mommersbosweg 41, 3520 Zonhoven, 011 36 16 60